Fidye yazılım grupları hiçbir sektörü esirgemezken, saldırganlar sağlık sektörünü tercih ettikleri hedeflerin ilk sıralarına yerleştirdiler. İhlallerin kurbanı olan hastanelerdeki artış, yeni politikalar ve mevzuatı zorlamak için harekete geçen düzenleyiciler ve hükümet yetkilileri arasında endişelere yol açtı.
ABD’deki en büyük kar amacı gütmeyen sağlık sistemlerinden biri olan CommonSpirit, bir gizlilik ihlali bildirimi 16 Eylül’deki bir ihlalin ardından 623.774 hasta kaydının açığa çıktığı uyarısı 1 Aralık’ta yapıldı. 21 eyalette 140 hastane ve 1.000’den fazla bakım tesisinden oluşan ülke çapındaki ağ, fidye yazılımı saldırganlarının hasta kayıtlarına eriştiğini doğruladı, ancak şu anda hiçbir kanıt olmadığını söyledi kişisel bilgilerin kötüye kullanıldığı. Potansiyel olarak etkilenen hastalar, CommonSpirit’in Franciscan Medical Group ve Washington’daki Franciscan Health’te tedavi edilen hastalardı. Dört hastane artık bir CommonSpirit üyesi olan Virginia Mason Franciscan Health olarak biliniyor.
Mevcut ani artış üzerine kuruludur genel saldırılarda geçen yılki %35’lik artış Yönetilen tespit ve müdahale (MDR) hizmet sağlayıcısı Critical Insight’a göre 2020 ile karşılaştırıldığında sağlık hizmeti sağlayıcıları. Critical Insight’a göre, sağlık hizmeti sağlayıcılarına yönelik siber saldırılar, 2020’de 34 milyon ve 2018’de 14 milyona kıyasla geçen yıl 45 milyon kişiyi etkiledi.
Ekim ayında FBI İnternet Suçları Şikayet Merkezi (ICA), 16 kritik altyapı arasında sağlık ve halk sağlığı sektörünün fidye yazılımı şikayetlerinin %25’ini oluşturduğunu bildirdi. ABD Sağlık ve İnsani Hizmetler Departmanı (HHS) Nisan ayında bir Hive hakkında uyarısağlık kuruluşlarını hedef alan agresif bir fidye yazılımı grubu.
HHS Sağlık Sektörü Siber Güvenlik Koordinasyon Merkezi (HC3), Hive’ın Haziran 2021’den beri faaliyette olduğunun bilindiğini ve “o dönemde ABD sağlık sektörünü hedef almada çok agresif olduğunu” kaydetti.
Fidye yazılımı ile sağlık hizmeti sağlayıcılarını hedef alan bir diğer yeni hacker grubu da Daixin Team. Ekim ayında HHS, Daixin Ekibinin VMware EXSi sunucularındaki dosyaları şifreleyen kaynak kodu Babuk Locker’ı kullanan fidye yazılımıyla sağlık hizmeti sağlayıcılarının peşine düştüğüne dair bir tavsiye niteliğindeki uyarıyla Siber Güvenlik ve Altyapı Dairesi (CISA) ve FBI’a katıldı.
Danışmanlığa göre Daixin Team’in fidye yazılımı, sağlık hizmeti sağlayıcılarının elektronik sağlık kayıtlarını, tanılama, görüntüleme ve intranet hizmetlerini şifreliyor. Grup ayrıca kişisel olarak tanımlanabilir bilgileri (PII) ve hasta sağlık bilgilerini (PHI) sızdırdı ve bu verileri yayınlamakla tehdit ederek zorla fidye aldı.
Fidye Yazılımların Sağlık Hizmetleri Üzerindeki Etkisi
Sırasında Yıkıcı Yenilikçiler Bu ayın başlarında New York’ta düzenlenen CIO Forumu, sağlık sektörü için gelişen teknolojiye odaklanan bir konferans, fidye yazılımındaki artışa değinen bir panel tartışması. Sağlık kuruluşları için bir BT danışmanlık firması olan Divurgent’te dijital inovasyondan sorumlu Kıdemli Başkan Yardımcısı Christopher Kunney, “Fidye yazılımı, bugün çoğu sağlık kuruluşu için muhtemelen 1 numaralı güvenlik sorunudur” dedi.
Panelistlerden biri olan Kunney, fidye yazılımlarının sağlık hizmetlerinde büyüyen bir tehdit olmaya devam edeceği konusunda uyardı “hastanenin dört duvarının dışındaki ayak izini genişlettikçe ve sanal bakım ve artık ağımızın üzerinde yer alabilecek diğer teknolojilere baktığımız sürece” altyapı.”
Panelin moderatörlüğünü yapan ve Safe Security’nin kurucu ortağı ve CEO’su olan Saket Modi, bilinen ilk ölümler Alabama’da yeni doğmuş bir fidye yazılımına atfedilen olay geçen yıl meydana geldi. Modi, “Bir fidye yazılımı saldırısı artık yalnızca finansal ve itibarla ilgili değil, insanların yaşamları üzerinde gerçek bir etkiye sahip olabilir” dedi. Fidye yazılım saldırıları, veri hırsızlığı riskinin yanı sıra, özellikle saldırganlar hastaları hayatta tutmaktan sorumlu sistemlere eriştiğinde, hasta bakımının sağlanması için bir risk oluşturur.
Trinidad, Colo’daki Mt. San Rafael Hastanesi ve Klinikleri CIO’su Michael Archuleta, “Siber güvenliğin yalnızca veri güvenliğiyle ilgili olmadığını, aynı zamanda bir ölüm kalım meselesi olduğunu anlamalıyız” diye ekledi.
COVID’in son yıllarda sağlık hizmeti sağlayıcılarını dijital dönüşüm çabalarını hızlandırmaya zorladığını kaydeden birçok kuruluş, artık erişilebilir olan uygulama teknolojisi ve sistemleriyle ilişkili güvenlik risklerini yeterince ele almamıştır.
Archuleta, “Sağlık hizmetlerinin dijital çağında yaşıyoruz ve genel deneyimimizi ve hasta sonuçlarını daha iyi iyileştiren, aynı zamanda tüm organizasyonun ilerlemesini güvence altına alan inisiyatifleri teknoloji sonuçlarını dahil etmeye başlamamız gerekiyor” dedi.
2022 Sağlık Hizmetleri Siber Güvenlik Yasası
Artan saldırıları durdurmak isteyen Temsilci Jason Crow (D-CO), Sağlık Hizmetleri Siber Güvenlik Yasasına sponsor oldu. Eylül ayında tanıtılan yasa tasarısı, CISA’nın sağlık sektöründe siber güvenliği iyileştirmek için HHS ile işbirliği yapmasını gerektirecek.
Göre tasarının özetiCISA ve HHS, “HHS programları aracılığıyla bilgi alan federal ve federal olmayan kuruluşlara sunulan siber tehdit göstergeleri ve uygun savunma önlemleri dahil olmak üzere” kaynaklar sağlayacaktır.
Tasarı ayrıca CISA’nın sağlık hizmetlerine sahip olan veya sağlık hizmetleri sağlayanlara siber güvenlik eğitimi ve iyileştirme stratejileri sağlaması çağrısında bulunuyor. Mt. San Rafael Hastanesi ve Klinikleri CIO’su Archuleta şunları söyledi: Hedefli fidye yazılımı saldırılarının %91’i çoğu yeterli eğitim almamış olan çalışanlara yönelik kimlik avı e-postalarından geldi. “Kuruluşumuz içinde bir insan güvenlik duvarı geliştirmeye odaklanmıyoruz” dedi.
Bu arada, Senatör Mark Warner (D-VA) bir politika seçenekleri teknik incelemesi Bu, mevcut siber güvenlik tehditlerini ve federal hükümetin olası tepkilerini ayrıntılarıyla açıklar. Rapor, Warner’ın personeli ve siber güvenlik uzmanlarının araştırmalarından ve federal hükümetin siber koruma yeteneklerini geliştirmek için sağlık hizmeti sağlayıcılarıyla işbirliği yapmasına yönelik geniş bir seçenek yelpazesinden ve saldırılardan kurtulmak için bir plandan yararlanıyor.
Warner, “Sağlık sektörü siber saldırılara karşı benzersiz bir şekilde savunmasız ve daha iyi siber güvenliğe geçiş acı verecek kadar yavaş ve yetersiz oldu” dedi. bir açıklamada söyledi. “Federal hükümet ve sağlık sektörü, ortak sorumluluklara sahip ortaklar olarak, korkunç tehditleri karşılamak için dengeli bir yaklaşım bulmalıdır.”